Неокончателна редакция

РЕШЕНИЕ НА ОБЩИЯ СЪД (пети състав)

25 февруари 2026 година(*)

„ Сътрудничество между полицейските органи и другите правоприлагащи служби на държавите членки — Криптирана съобщителна услуга Sky ECC — Твърдяно неправомерно обработване на лични данни — Жалба за отмяна — Неподлежащ на обжалване акт — Подготвителен акт — Допустимост — Обработване на лични данни от държавите членки и предаването им на Европол — Предаване на лични данни от Европол на държава членка — Предаване на лични данни от Евроюст на трета държава — Извъндоговорна отговорност — Член 50 от Регламент (ЕС) 2016/794 — Солидарна отговорност на Европол и държавите членки за неправомерна обработка на данни — Достатъчно съществено нарушение на правна норма, с която се предоставят права на частноправните субекти — Действително наличие на вреда — Регламент (ЕС) 2018/1727 — Недостатъчна координация от страна на Евроюст на наказателните преследвания между държава членка и трета държава — Членове 71, 72, 89, 91 и 92 от Регламент (ЕС) 2018/1725 “

По дело T‑1180/23

BW, представляван от J. Reisinger, адвокат,

жалбоподател,

срещу

Агенция на Европейския съюз за сътрудничество в областта на правоприлагането (Европол), представлявана от A. Nunzi, подпомаган от G. Ziegenhorn, M. Kottmann, T. Shulman и S. Steinbarth, адвокати,

и Агенция на Европейския съюз за сътрудничество в областта на наказателното правосъдие (Евроюст), представлявана от J. Carmona-Bermejo и M. Castro Granja, подпомагани от Kottmann, Ziegenhorn, Shulman и Steinbarth,

ответници,

подпомагани от

Кралство Белгия, представлявано от M. Jacobs, M. Van Regemorter и C. Jacob,

Кралство Испания, представлявано от A. Gavela Llopis,

и Кралство Нидерландия, представлявано от J. Langer и M. Bulterman,

встъпили страни,

ОБЩИЯТ СЪД (пети състав),

състоящ се по време на разискванията от: J. Svenningsen (докладчик), председател, J. Martín y Pérez de Nanclares и M. Stancu, съдии,

секретар: L. Ramette, администратор,

предвид изложеното в писмената фаза на производството,

предвид изложеното в съдебното заседание от 9 септември 2025 г.,

постанови настоящото

Решение

1 С жалбата си жалбоподателят BW иска по същество, от една страна, на основание член 263 ДФЕС, да бъде отменено споразумението за създаване на съвместен екип за разследване (наричан по-нататък „СЕР“) относно криптираната съобщителна услуга Sky ECC (наричано по-нататък „споразумението за СЕР“), както и да бъдат отменени операциите по обработване, анализ и споделяне от Агенцията на Европейския съюз за сътрудничество в областта на правоприлагането (Европол), Агенцията на Европейския съюз за сътрудничество в областта на наказателното правосъдие (Евроюст), както и държавите членки, участващи в разследването по тази услуга, на данните с произход от посочената услуга, отнасящи се до него, а от друга страна, на основание член 268 ДФЕС, да бъде обезщетен за имуществените и неимуществените вреди, които твърди, че е претърпял в резултат на актовете и действията на Европол, Евроюст и посочените държави членки.

I.Обстоятелствата по спора

2 Жалбоподателят е сръбски гражданин, преследван и лишен от свобода в Нидерландия от 8 май 2023 г. за внос в тази държава членка на 743 килограма кокаин, заловени на 4 август 2020 г. в Ротердам (Нидерландия). От есента на 2023 г. той е преследван и в Сърбия, по-специално за трафик на наркотици.

3 Наказателните преследвания, водени от нидерландските и сръбските органи, се основават на процесуално-следствени действия, предприети в края на 2010 г. от белгийските, нидерландските и френските органи срещу „организацията Sky ECC“, „ECC“, означаваща „Elliptic Curve Cryptograpy“ (криптография с елиптични криви), за която се подозира, че предлага на пазара криптирани съобщителни продукти и услуги, специално насочени към улесняване на извършването на престъпления.

4 В резултат на тези национални процесуално-следствени действия в края на 2018 г. Кралство Белгия и Кралство Нидерландия издават решения за съвместно разследване, с които искат от Френската република да създаде копие на сървърите, използвани от услугата Sky ECC и намиращи се в Рубе (Франция). Тази държава членка изпълнява това искане, като чрез техниката „нападение на посредника“ извършва прихващане, записване и транскрибиране на криптираните съобщения, които влизат и излизат от тези сървъри, включително на данните относно жалбоподателя.

5 На 13 декември 2019 г. белгийските, френските и нидерландските органи създават СЕР със споразумението за СЕР, сключено между тях на основание член 13 от Конвенцията, изготвена от Съвета в съответствие с член 34 ДЕС, за взаимопомощ по наказателноправни въпроси между държавите — членки на Европейския съюз (ОВ C 197, 2000 г., стр. 3), и Рамковото решение на Съвета от 13 юни 2002 г. относно съвместните екипи за разследване (ОВ L 162, 2002 г., стр. 1).

6 Споразумението за СЕР предвижда следното:

„Създаването на СЕР има за цел да улесни текущите разследвания в Белгия, Франция и Нидерландия на доставчика(ците) и на ползвателите на услугата Sky ECC и да сподели техническото ноу-хау и ресурсите […]. Целта на СЕР е съвместното разработване, развитие и внедряване на необходимата техника за дешифриране на предишните съобщения и за демонтиране на сървъра; идентификацията и локализирането на ползвателите, които се движат в рамките на и между трите държави; създаването и координирането на ден или дни за съвместно действие с цел арестуване и съдебно преследване на посредниците и ползвателите на Sky ECC.“

7 СЕР води до споделянето между Европол и съответните три държави членки на прихванатите необработени данни, които след това трябва да бъдат анализирани, както и на резултатите от този анализ.

8 В рамките на това сътрудничество, което все още е в ход към датата на съдебното заседание по настоящото дело, Европол съхранява данните в своята информационна система, извършва съпоставяния, изготвя информационни доклади, генерира графики за визуализация на данните и тълкува многоезични набори от данни.

9 От своя страна, Евроюст предоставя съдействие и съвети относно възможностите за съдебно сътрудничество и организира редица координационни срещи между белгийските, френските и нидерландските органи и Европол, а също така улеснява съдебното сътрудничество между Република Сърбия, от една страна, и Кралство Нидерландия и Френската република, от друга страна.

II.Искания на страните

10 По същество жалбоподателят иска от Общия съд:

–да отмени споразумението за СЕР, актовете на Европол и Евроюст, приети въз основа на последното, както и актовете по обработване, анализ и споделяне от тези агенции и съответните държави членки на данните от сървъра Sky ECC, отнасящи се до него,

–да осъди Европол и Евроюст да му заплатят обезщетение в размер на най-малко 71 000 евро за неимуществените и имуществените вреди, произтичащи, от една страна, от „неговото (предварително) задържане, от общоизвестността му, от слабата му защитна позиция, както и от данните, които са [или] е можело да попаднат в лоши ръце“, а от друга страна, от „разноските за адвокат и загубата на доходи“,

–да осъди Европол и Евроюст да платят съдебните разноски.

11 Европол и Евроюст искат от Общия съд:

–да отхвърли жалбата като недопустима и във всички случаи като неоснователна,

–да осъди жалбоподателя да заплати съдебните разноски.

12 Кралство Испания иска от Общия съд да отхвърли жалбата като недопустима или, при условията на евентуалност, като неоснователна, както и да осъди жалбоподателя да заплати съдебните разноски.

13 Кралство Нидерландия иска от Общия съд да отхвърли жалбата и да осъди жалбоподателя да заплати съдебните разноски.

III. От правна страна

14 В подкрепа на исканията си, насочени както срещу Европол, така и Евроюст, жалбоподателят се позовава на едни и същи четири основания.

15 Първото основание е изведено по същество от незаконния и непропорционален характер на събирането и обработването на личните данни с произход от услугата Sky ECC от съответните държави членки и от „Европол и/или Евроюст“, от първото им прихващане през 2019 г. до последното споделяне на резултатите с други държави.

16 В отговор на въпрос на Общия съд в съдебното заседание жалбоподателят посочва, че не се позовава на никакъв акт или действие след 24 юни 2022 г. — датата, на която френските органи са предали чрез Евроюст на сръбските органи връзка към защитен сайт за изтегляне, предоставящ на тази трета държава информацията относно някои разговори с произход от услугата Sky ECC, свързана с конкретно идентифицирани идентификатори за достъп, в рамките на която са и разговорите на жалбоподателя.

17 Второто основание по същество е изведено от нарушение от страна на Европол и Евроюст съответно на член 28 от Регламент (ЕС) 2016/794 на Европейския парламент и на Съвета от 11 май 2016 година относно Европол и за замяна и отмяна на решения 2009/371/ПВР, 2009/934/ПВР, 2009/935/ПВР, 2009/936/ПВР и 2009/968/ПВР на Съвета (ОВ L 135, 2016 г., стр. 53), и на член 71 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета от 23 октомври 2018 година относно защитата на физическите лица във връзка с обработването на лични данни от институциите, органите, службите и агенциите на Съюза и относно свободното движение на такива данни и за отмяна на Регламент (ЕО) № 45/2001 и Решение № 1247/2002/ЕО (ОВ L 295, 2018 г., стр. 39), както и на членове 47 и 48 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“), а също и на членове 14 и 15 от Международния пакт за граждански и политически права, приет от Общото събрание на Организацията на обединените нации на 16 декември 1966 г. и влязъл в сила на 23 март 1976 г. (наричан по-нататък „Пактът“), поради непълнотата на събраните, анализирани и прехвърлени данни от услугата Sky ECC, което накърнило възможността на жалбоподателя да се защитава пред нидерландските и сръбските съдилища.

18 Третото основание по същество е изведено от нарушение от страна на Европол и Евроюст на споразумението за СЕР, тъй като тези агенции не са изпълнили задължението си за координиране, целящо да се избегне повторно наказателно преследване на жалбоподателя за едно и също деяние в Нидерландия и в Сърбия.

19 Четвъртото основание по същество е изведено от нарушение от страна на Европол и Евроюст съответно на член 32 от Регламент 2016/794 и на членове 89 и 92 от Регламент 2018/1725, тъй като теза агенции не са защитили надлежно личните данни на жалбоподателя.

А.По деянията и актовете, в които са упрекнати, както и по компетентността на Общия съд да ги разгледа

1.Предварителни бележки

20 С исканията си жалбоподателят упреква както Европол, така и Евроюст в редица неправомерни действия или актове с предмет събирането и обработването на личните му данни, настъпили в рамките на наказателните разследвания, водени от Кралство Белгия, Френската република и Кралство Нидерландия относно услугата Sky ECC, в които са участвали Европол и Евроюст.

21 Доколкото жалбоподателят критикува не само действия, за които носят отговорност Европол и Евроюст, но и действия, за които носят отговорност държавите членки, участвали в СЕР, както и Република Сърбия, е важно да се направят следните предварителни бележки.

22 На първо място, що се отнася до искането, основано на член 263 ДФЕС, от тази разпоредба изрично следва, че жалбата за отмяна може да бъде насочена само срещу актове, приети от институция, орган, служба или агенция на Европейския съюз.

23 Така в рамките на жалба на основание член 263 ДФЕС съдът на Съюза не е компетентен да се произнесе по законосъобразността на акт, постановен от национален орган (решение от 3 декември 1992 г., Oleificio Borelli/Комисия, C‑97/91, EU:C:1992:491, т. 9), като тази констатация не би могла да бъде отслабена от обстоятелството, че разглежданият акт се вписва в процес по вземане на решение на Съюза (решение от 29 януари 2020 г., GAEC Jeanningros, C‑785/18, EU:C:2020:46, т. 27).

24 Общият съд също така е имал повод да постанови, че в рамките на жалба за отмяна контролът върху законосъобразността на предаването на информация, събрана в приложение на националното наказателно право, към институция на Съюза от страна на национален прокурор или на органите, е въпрос, който по принцип попада в обхвата на националното право, уреждащо провеждането на разследванията, водени от посочените национални органи, а в случай на съдебно производство е от компетентността на националните юрисдикции (вж. в този смисъл решение от 8 юли 2004 г., Dalmine/Комисия, T‑50/00, EU:T:2004:220, т. 86).

25 От това следва, че доколкото жалбоподателят иска да бъдат отменени операциите по прихващане, извършени от френските органи с разрешение на френски съд, да бъде отменено „провеждането на тези операции“, да бъде отменено предаването на Европол от страна на френските органи на документите и информацията, получена във връзка с последните операции, да бъде отменено предаването от френските органи на Евроюст и на сръбските органи на документите и информацията, поискана от сръбските органи в рамките на техните искания за правна взаимопомощ, както и да бъде отменено воденото пред сръбските съдилища наказателно производство, съдът на Съюза не е компетентен да се произнесе по тях.

26 Съдът на Съюза също така не е компетентен да се произнесе пряко на основание член 263 ДФЕС относно законосъобразността на споразумението за СЕР, тъй като то не е акт на Съюза.

27 Всъщност споразумението за СЕР е подписано и следователно сключено само от три държави членки, а именно Кралство Белгия, Френската република и Кралство Нидерландия.

28 Този извод не може да бъде поставен под въпрос от факта, че споразумението за СЕР се основава на конвенция, сключена от тези държави членки по силата на член 34 ДЕС, както и на рамково решение на Съвета на Европейския съюз (вж. в този смисъл решение от 17 септември 2014 г., Liivimaa Lihaveis, C‑562/12, EU:C:2014:2229, т. 45—51).

29 Посоченият извод не може да се постави под въпрос и от факта, че Европол или Евроюст са могли да бъдат сред инициаторите за създаването на съответния СЕР, нито пък от факта, че по силата на точка 7 от споразумението за СЕР Кралство Белгия, Френската република и Кралство Нидерландия са се договорили да включат Европол и Евроюст като „участници“ в СЕР, както допуска член 13, параграф 12 от конвенцията, изготвена от Съвета в съответствие с член 34 ДЕС относно взаимопомощта по наказателноправни въпроси между държавите членки на Европейския съюз, във връзка със съображение 9 от Рамковото решение на Съвета от 13 юни 2002 година относно съвместните екипи за разследване, както и, що се отнася до Европол, както допуска член 5 от Регламент 2016/794, а що се отнася до Евроюст — член 8, параграф 1, буква г) от Регламент (ЕС) 2018/1727 на Европейския парламент и на Съвета от 14 ноември 2018 година относно Евроюст и за замяна и отмяна на Решение 2002/187/ПВР на Съвета (ОВ L 295, 2018 г., стр. 138).

30 Всъщност възможността, предоставена с член 5 от Регламент 2016/794 и член 8, параграф 1, буква г) от Регламент 2018/1727 на Европол или Евроюст да предлагат или подпомагат създаването на СЕР, както и на техните служители да участват в СЕР, не предоставя на тези агенции статута на „страна“ по споразумението, с което Кралство Белгия, Френската република и Кралство Нидерландия са създали съответния СЕР.

31 С оглед на гореизложеното, на основание член 263 ДФЕС Общият съд не е компетентен да разгледа: разрешението от френския съд за операциите по прихващане, извършени от френските органи, провеждането на тези операции, предаването от френските органи на Европол на документите и информацията, получена по повод на тези операции, предаването от френските органи на Евроюст и на сръбските органи на документите и информацията, поискана от сръбските органи в рамките на техните искания за правна помощ, редовността на наказателното производство, водено пред сръбските съдилища, както и споразумението за СЕР.

32 На второ място, що се отнася до искането, основано на членове 268 и 340 ДФЕС, следва да се припомни, че съдът на Съюза е компетентен да разгледа иск за обезщетение, основан на тези разпоредби, единствено ако незаконосъобразността, на която се основава искът за обезщетение, действително произтича от действие на институция, орган, служба или агенция на Съюза и не може да се разглежда като незаконосъобразност, за която отговаря национален орган (вж. в този смисъл решение от 16 декември 2020 г., Съвет/K. Chrysostomides & Co. и др., C‑597/18 P, C‑598/18 P, C‑603/18 P и C‑604/18 P, EU:C:2020:1028, т. 80, 106 и 107).

33 Освен това, когато се ангажира отговорността на Съюза на основание акт или действие на някоя от неговите институции или органи, служби или агенции, той се представлява пред Общия съд от институциите, органите, службите или агенциите, които са упрекнати в правопораждащия отговорността факт (решение от 13 ноември 1973 г., Werhahn Hansamühle и др./Съвет и Комисия, 63/72—69/72, EU:C:1973:121, т. 7).

34 В този смисъл отговорността на Съюза на основание членове 268 ДФЕС и 340 ДФЕС не може да се търси от институция, орган, служба или агенция на Съюза, различна/ен от тази/този, която/който е упрекнат/а в правопораждащия отговорността факт, освен ако законодателят на Съюза изрично е предвидил дерогационен режим на солидарна отговорност между една от тези институции или един от тези органи, служби или агенции на Съюза и една или повече държави членки, дори една или повече трети държави, или между няколко институции, органи, служби или агенции на Съюза (вж. по аналогия решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 62 и 63).

35 В случая се налага констатацията, че нито Регламент 2018/1727, нито който и да е друг акт, на който се позовава жалбоподателят, не предвижда дерогационен режим на солидарна отговорност между Евроюст и държавите членки или между Евроюст и Република Сърбия.

36 Също така в отговор на въпрос на Общия съд в съдебното заседание жалбоподателят посочва, че искането за обезщетение не се основава на евентуална солидарна отговорност на Европол за действията на Евроюст или на Евроюст за действията на Европол, а единствено на солидарната отговорност на Европол за действията на държавите членки.

37 Както обаче Съдът е постановил, от съвместния прочит на съображение 57 във връзка с член 49, параграфи 3 и 4 и член 50 от Регламент 2016/794 трябва да се изведе дерогационен режим на солидарна отговорност на Европол за действията на държавите членки (вж. в този смисъл решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 62 и 63).

38 По силата на този режим физическо лице може да потърси отговорност от Европол пред съда на Съюза за всяко неправомерно обработване на данни, извършено в рамките на сътрудничество на основание на Регламент 2016/794 между тази агенция и държава членка, което му е причинило вреди (вж. в този смисъл решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 62 и 63).

39 В случая следва да се констатира, че сътрудничеството относно услугата Sky ECC е започнало през май 2019 г. и както посочва Европол в отговор на въпрос на Общия съд в съдебното заседание, към датата на последното все още е било в ход.

40 Освен това жалбоподателят се позовава на факта, потвърден от Европол в съдебното заседание в отговор на въпрос на Общия съд, че лични данни с произход от услугата Sky ECC, които се отнасят до него, от една страна, са били обменени в рамките на това сътрудничество между Европол и белгийските, френските и нидерландските органи, а от друга страна, остават под контрола на Европол.

41 С оглед на гореизложеното Общият съд не е компетентен да разгледа второто искане, доколкото с него се цели да се установи отговорността на Евроюст за действията на Кралство Белгия, Френската република и Кралство Нидерландия или пък за действията на Република Сърбия, дори на Европол.

42 За разлика от това Общият съд е компетентен да разгледа второто искане, доколкото с него се цели да се установи отговорността на Евроюст за собствените ѝ действия, както и отговорността на Европол за действия, за които носят отговорност както самата агенция, така и държавите членки, участвали в сътрудничеството относно услугата Sky ECC.

43 Що се отнася до солидарната отговорност на Европол за действията, за които носят отговорност белгийските, френските или нидерландските органи, от една страна, следва да се отбележи, че предвид датата на последното обстоятелство, за което жалбоподателят упреква Европол и Евроюст — а именно обмен на лични данни от 24 юни 2022 г. — към настоящия спор е приложим единствено режимът на солидарна отговорност, предвиден в първоначалната редакция на Регламент 2016/794, която е в сила до 27 юни 2022 г. (вж. в този смисъл решение от 10 септември 2019 г., HTTS/Съвет, C‑123/18 P, EU:C:2019:694, т. 39).

44 От друга страна, от член 276 ДФЕС следва, че при упражняване на правомощията си, свързани с разпоредбите на глави 4 и 5 от дял V, част трета, от Договора за функционирането на ЕС относно пространството на свобода, сигурност и правосъдие, съдът на Съюза не е компетентен да проверява валидността или пропорционалността на операции, проведени от полицията или други правоприлагащи служби в държава членка.

45 Така въпреки режима на солидарна отговорност, предвиден в член 50, параграф 1 от Регламент 2016/794, Европол не може да носи солидарна отговорност за евентуалните вреди, произтичащи от неправомерно обработване на лични данни на физическо лице във връзка с операции, проведени от полицията или други правоприлагащи служби на държава членка, дори ако това обработване е извършено в рамките на сътрудничество, основано на този регламент (вж. по аналогия решение от 10 септември 2024 г., KS и др./Съвет и др., C‑29/22 P и C‑44/22 P, EU:C:2024:725, т. 91).

46 Следователно въпреки, че е компетентен да разгледа второто искане, доколкото то се отнася до солидарната отговорност на Европол за действия, за които носят отговорност по-специално френските органи, Общият съд не е компетентен да разгледа твърденията на жалбоподателя за вреди, които му били причинени в резултат на операциите по прихващане на неговите лични данни, извършени в рамките на полицейските операции, проведени от френските органи.

47 При тези условия и преди да се разгледат повдигнатите от Европол и Евроюст възражения за недопустимост, както и основателността на исканията на жалбоподателя, следва да се установят действията и актовете, които жалбоподателят критикува и които съдът на Съюза е оправомощен да разгледа, както и да се определи дали за тях носи отговорност Европол или Евроюст, и ако е необходимо, да се установят действията или актовете, за които Европол не носи отговорност, но които въпреки това биха могли да доведат до ангажиране на отговорността на тази агенция въз основа на дерогационния режим на солидарна отговорност, предвиден в член 50, параграф 1 от Регламент 2016/794.

2.Относно актовете или действията, за които носи отговорност Европол или Евроюст

48 Жалбоподателят твърди, че събирането, обработването и предаването на личните му данни, настъпили в рамките на наказателните разследвания относно услугата Sky ECC, в които са участвали белгийските, френските и нидерландските органи, както и Европол и Евроюст, и които са довели до наказателните преследвания, посочени в точка 2 по-горе, противоречат на правото на Съюза.

49 По-конкретно и с оглед само на данните, с които е могъл да се запознае при разглеждането на преписките по образуваните срещу него наказателни производства, жалбоподателят упреква „Европол и/или Евроюст“ за обработването на личните му данни „от първото им прихващане през 2019 г.“ до 24 юни 2022 г. — датата на предаването от Евроюст на сръбските органи на електронно писмо от френските органи, съдържащо връзка към защитен сайт за изтегляне, съдържащ по-специално някои от неговите разговори с произход от услугата Sky ECC (т. 16 по-горе).

50 В този смисъл жалбоподателят поддържа, че Европол „е подкрепила упражняването на разследващи правомощия на територията на редица държави в рамките на Съюза и извън него“. Освен това на 27 май 2019 г. Европол организирала среща с белгийските, френските и нидерландските органи, по време на която са споделени метаданните на повече от 9 000 съобщения от или до ползвателите на услугата Sky ECC. През юни 2019 г. данните, получени от френските органи по повод на операции по прихващане, били споделени с белгийските и нидерландските органи чрез Европол посредством неговата защитена система за обмен на информация, наречена „Secure Information Exchange Network Application“ (SIENA).

51 Освен това, считано от декември 2020 г., Европол и Евроюст участвали в операция по събиране на ключовете за разшифроване на съобщенията, получени от средата на 2019 г., в съхраняването, разшифроването и прехвърлянето на тези съобщения, както и през март 2021 г. в „операция, при която Sky ECC е „унищожена“. Жалбоподателят поддържа също, че на 23 и 24 юли 2020 г. Европол и Евроюст са участвали в техническа работна група на СЕР, в рамките на която са открити нови криптирани съобщения, както и в срещи, проведени на 28 август 2019 г., 7 септември 2020 г. и 11 февруари 2021 г.

52 Във връзка по-специално с образуваните срещу него наказателни преследвания в Сърбия жалбоподателят твърди, че на 6 юни 2022 г. Евроюст е получила искане за сътрудничество от сръбските органи, което е довело до предаването на 24 юни същата година от френските на сръбските органи посредством Евроюст на отнасящи се до него данни с произход от услугата Sky ECC (наричано по-нататък „предаването от 24 юни 2022 г.“). Освен това през юни 2022 г. Европол информирала сръбските органи, че анализите ѝ идентифицират жалбоподателя зад конкретен „Sky ECC идентификатор“. Накрая, между сръбските органи и Европол били осъществени други контакти във връзка с престъпната група, към която се предполага, че жалбоподателят принадлежи.

53 Европол и Евроюст оспорват, че са участвали в някои от посочените от жалбоподателя деяния.

а)По актовете и действията, за които носи отговорност Европол

54 В писмените си изявления Европол посочва, че СЕР е довел до споделянето между тази агенция и съответните три държави членки на данните, прихванати от френските органи за целите на анализ, както и до споделянето на резултатите от тези анализи.

55 В този смисъл Европол признава, че е получил метаданните, отнасящи се до повече от 9 000 съобщения, разменени по време на срещата от 27 май 2019 г., посочена от жалбоподателя в точка 50 по-горе.

56 Европол посочва също, че считано от 18 март 2021 г., тази агенция действително е получила и анализирала данните с произход от услугата Sky ECC, предадени от френските органи, след което е предала резултата от анализите си на белгийските, френските и нидерландските органи, по-специално под формата на специфични за определени държави анализи.

57 От друга страна, Европол не оспорва, че е участвала в среща на 28 август 2019 г., на която са споменати последиците от евентуално демонтиране на инфраструктурата на услугата Sky ECC, както и в техническа работна група на СЕР, организирана на 23 и 24 юли 2020 г., по повод на която са открити нови криптирани съобщения.

58 Следователно, доколкото не са оспорени и дори са потвърдени от Европол, посочените в точки 54—57 по-горе деяния трябва да се приемат за установени, като за тях носи отговорност Европол.

59 За разлика от това, първо, жалбоподателят не представя никакво доказателство или поне никакво начало на писмено доказателство, от което да може да се установи, че Европол е участвала или е допринесла за операциите по прихващане на данните, които влизат и излизат от сървърите на услугата Sky ECC, намиращи се във Франция.

60 Освен оспорването на тези деяния от страна на Европол, твърдението на жалбоподателя не се потвърждава нито от факта, че Европол е могла да участва или да бъде инициатор на срещата от 27 май 2019 г., нито от съдебната поръчка, изпратена от сръбските органи до френските им колеги, представена в приложение A. 17 и отнасяща се до „анализа на данните, получени от Европол въз основа на приложението Sky ECC“. Напротив, приложение A.6 цели да докаже, че операциите по прихващане са извършени само от френските органи, което се потвърждава и от приложение A.14.

61 Второ, макар Европол да не оспорва, че е участвала в срещите на 7 септември 2020 г. и 11 февруари 2021 г., все пак се налага констатацията, че в документа на Rechtbank van eerste aanleg te Antwerpen (Първоинстанционен съд Антверпен, Белгия), приложен към жалбата в подкрепа на твърдението на жалбоподателя, действително се споменава предстояща среща на 7 септември 2020 г., но се уточнява единствено, че френските и нидерландските органи, а не Европол, следва да участват в нея. Също така в искането за техническа помощ на Cour d’appel de Paris (Апелативен съд Париж, Франция), приложено към жалбата в подкрепа на твърдението на жалбоподателя, не се посочва провеждането на среща на 11 февруари 2021 г., нито дори Европол.

62 Трето, жалбоподателят не представя нито доказателство, нито поне начало на писмено доказателство, от което да може да се установи, че Европол участвала в „деня за действие“ през март 2021 г., в рамките на който Sky ECC е „унищожена“. Всъщност стенограмата от пресконференцията на белгийската прокуратура, посочена в жалбата, действително се отнася до този „ден за действие“, но не споменава Европол. Също така обменът на електронни писма, приложен към жалбата, се ограничава до това да посочи предаването на данни с произход от услугата Sky ECC посредством Европол, без да доказва, че тази агенция е участвала във въпросния „ден за действие“.

63 Четвърто, жалбоподателят не представя доказателство или поне начало на писмено доказателство, от което да може да се установи, че Европол предала на сръбските органи информацията, че той е лицето, което стои зад идентификатора „DFKNBQ“ на услугата Sky ECC.

64 Всъщност приложение A.17, на което се основава жалбоподателят и което действително свързва името му с идентификатора „DFKNBQ“ на услугата Sky ECC, както и с потребителското име „CHE GUEVARA“, се оказва искане, подадено от прокуратурата за организираната престъпност на Република Сърбия, за получаване от френските органи на гласовите съобщения, текстовите съобщения, видеоматериалите и снимките, отнасящи се по-специално до жалбоподателя и съдържащи се в сървърите на услугата Sky ECC, иззети от последните органи, без да споменава Европол на каквото и да било основание.

65 Освен това сръбската прокуратура посочва в искането, че „посредством [нейните] действия и с последващата работа на министерството на вътрешните работи на Република Сърбия [те] са уведомени, че при анализа на данните, получени от Европол въз основа на приложението Sky ECC, [ползвателят] на PIN DFKNBQ [и на] потребителското име CHE GUEVARA [е BW]“, което доказва, че тази информация не е предоставена от Европол.

66 Пето, жалбоподателят не представя доказателство или поне не представя начало на писмено доказателство, от което да може да се установи, че Европол участвала в предоставянето на 24 юни 2022 г. от френските на сръбските органи на отнасящите се до него документи и информация с произход услугата Sky ECC.

67 Както става ясно от приложение A.15, тези документи и тази информация са предадени на сръбските от Евроюст органи в отговор на искане за правна помощ от страна на последните, чрез препращането на електронно писмо, изпратено от френските органи до Евроюст и съдържащо връзки към защитен сайт за изтегляне.

68 Ето защо в рамките на настоящото производство жалбоподателят не може да се позовава по отношение на Европол на неустановените деяния, посочени в точки 59—67 по-горе.

69 С оглед на гореизложеното и предвид твърдението на жалбоподателя, отразено в протокола от съдебното заседание, че последният акт, за който са критикувани Европол и Евроюст, е настъпил на 24 юни 2022 г., следва да се констатира, че само деянията, посочени в точки 55—57 по-горе и предхождащите тази дата — а именно получаването, обработването и споделянето, считано от 27 май 2019 г., на данните с произход от услугата Sky ECC, прихванати от френските органи, както и участието в срещата на 28 август 2019 г. и в работната група на 23 и 24 юли 2020 г. — са установени и могат да подкрепят исканията на жалбоподателя срещу Европол.

б)По актовете и действията, за които носи отговорност Евроюст

70 В писмените си изявления Евроюст посочва, че е участвала на две основания в деянията, посочени от жалбоподателя.

71 От една страна, Евроюст уточнява, че в рамките на СЕР относно услугата Sky ECC е предоставяла съдействие и съвети относно възможностите за съдебно сътрудничество и е организирала редица координационни срещи между белгийските, френските и нидерландските органи, както и Европол. Тези срещи, проведени на 25 април 2019 г., 7 септември 2020 г. и 11 февруари 2021 г., имат за резултат органите на тези държави членки да представят актуална информация за това как се развиват техните разследвания, отнасящи се до услугата Sky ECC, и да обсъдят какъв е най-добрият начин за постигане на напредък в тях.

72 От друга страна, в рамките на исканията за съдействие, отправени от сръбските органи във връзка с наказателни разследвания, образувани в Сърбия срещу престъпна организация, в която участвал жалбоподателят, замесена в трафик на наркотици, преминаващи по-специално през Ротердам, Евроюст уточнява, от една страна, е че координирала нидерландските и сръбските разследвания, а от друга страна, че е улеснила предаването и изпълнението на исканията за правна помощ, отправени от сръбските до френските органи.

73 Що се отнася до сътрудничеството между нидерландските и сръбските органи, Евроюст потвърждава провеждането на три координационни срещи с участието на тези органи на 23 май, 16 ноември и 8 декември 2022 г., на които те са обменили информация за обхвата и напредъка на съответните им разследвания, както и за съответните им нужди в областта на съдебното сътрудничество, а именно постигане на съгласие как да продължат сътрудничеството си в областта на обмена на информация и доказателства, както и координиране на стратегиите им за наказателно преследване с цел предотвратяване на конфликти във връзка с компетентността и на паралелни преследвания на едни и същи заподозрени лица за едни и същи деяния.

74 Евроюст посочва също, че е улеснила предаването на някои искания за правна помощ между Република Сърбия и Кралство Нидерландия, по-специално това от 7 октомври 2022 г., или пък че е била уведомена, от една страна, че на 3 май 2023 г. нидерландските органи са организирали среща със сръбските органи, чиято цел е била да ги уведомят за предвиденото арестуване на жалбоподателя, а от друга страна, за това, че по време на срещата тези органи са постигнали временно споразумение за координирана стратегия за преследването му във връзка с изземването от 4 август 2020 г., така че да се избегне преследването му за същите деяния в техните две държави.

75 Що се отнася до сътрудничеството между френските и сръбските органи, Евроюст уточнява, че в отговор на четири искания за правна помощ е изпратила с електронно писмо на сръбския магистрат за връзка хипервръзка, която е валидна определен период от време, към сайт за изтегляне, защитен с парола, предоставена от френските органи, с която хипервръзка последните са предоставяли единствено на сръбските органи информацията относно някои разговори с произход от услугата Sky ECC, която информация е свързана с конкретно идентифицирани идентификатори за достъп, сред които разговори са и тези на жалбоподателя.

76 Освен това от представените от жалбоподателя доказателства става ясно, че предаването от 24 юни 2022 г., посочено в точка 75 по-горе, е признато от Евроюст.

77 За разлика от това, първо, жалбоподателят не представя никакво доказателство или поне никакво начало на писмено доказателство, от което да може да се установи, че Евроюст е била поканена или е присъствала на срещата от 27 май 2019 г., посочена в точка 55 по-горе, и че в този контекст е получила метаданните относно 9 000 съобщения, обменени по този повод.

78 Всъщност в нито едно от петте приложения, посочени от жалбоподателя в подкрепа на твърдението му, не се споменава Евроюст, освен общо и без пряка връзка със срещата от 27 май 2019 г.

79 Второ, жалбоподателят не представя никакво доказателство или поне никакво начало на писмено доказателство, от което да може да се установи, че Евроюст е участвала в техническата работна група на 23 и 24 юли 2020 г., посочена в точка 51 по-горе.

80 Освен факта, че самият жалбоподател признава, че „не знае дали са присъствали сътрудници на […] Евроюст“ в тази работна група, тази агенция поддържа, че не е участвала в нея и че документът, на който се основава жалбоподателят, не позволява да се породи каквото и да било съмнение в това отношение.

81 Трето, жалбоподателят не представя никакво доказателство или най-малкото начало на писмено доказателства, от което да може да се установи, че Евроюст е участвала в обмена на всички данни с произход от услугата Sky ECC или в национални информационни пакети на посочената услуга чрез SIENA, тъй като Евроюст не е спомената в документа, на който се основава жалбоподателят.

82 Що се отнася по-специално до твърдяното участие на Евроюст в обмен на метаданни през февруари 2022 г., фактът, че с електронното писмо, приложено от жалбоподателя към жалбата, командирован национален експерт на Евроюст уведомява прокурор от провинция Хесен (провинция Хесен, Германия), че „геоданните на нидерландския доставчик ще бъдат предадени от нидерландските органи на Европол в края на февруари 2022 г. с общо разрешение за ползване“, не позволява да се изведе, че тези метаданни са били предоставени и на Евроюст.

83 Четвърто, поради същите мотиви като изложените във връзка с Европол в точки 64 и 65 по-горе, жалбоподателят не представя никакво доказателство или поне никакво начало на писмено доказателство, от което да може да се установи, че Евроюст предала на сръбските органи информацията, че той е лицето, което стои зад идентификатора „DFKNBQ“ на услугата Sky ECC.

84 Ето защо в рамките на настоящото производство жалбоподателят не може да се позовава по отношение на Евроюст на неустановените деяния, посочени в точки 77—83 по-горе.

85 С оглед на гореизложеното и предвид твърдението на жалбоподателя, отбелязано в протокола от съдебното заседание, че последният акт, за който са критикувани Европол и Евроюст, е настъпил на 24 юни 2022 г., следва да се констатира, че само фактите, посочени в точки 71—76 по-горе и предхождащите тази дата — а именно участието на Евроюст в координационната среща на белгийските, френските и нидерландските органи, както и на Европол в срещите на 25 април 2019 г., 7 септември 2020 г. и 11 февруари 2021 г., участието ѝ в срещата за координиране на нидерландското и сръбското разследване на 23 май 2022 г., предаването от тази агенция на 24 юни 2022 г. на сръбските органи на електронното писмо на френските органи, съдържащо връзка към сайт за изтегляне на личните данни на жалбоподателя, са установени и могат да са в подкрепа на исканията на жалбоподателя срещу Евроюст.

3.По актовете или действията, за които Европол не носи отговорност, но които все пак може да ангажират нейната отговорност

86 Предвид точки 55—57 и 71—76 по-горе трябва да се констатира, че жалбоподателят е установил следните деяния.

87 Първо, на 27 май 2019 г. белгийските, френските и нидерландските органи участват в среща, на която между тези държави членки и Европол са обменени метаданните от над 9 000 съобщения с произход от услугата Sky ECC.

88 Второ, считано от юни 2019 г., Френската република предава на Европол данните с произход от услугата Sky ECC, които след това са обработени от тази агенция и чиито резултати впоследствие са предадени от нея на белгийските, френските и нидерландските органи.

89 Трето, белгийските, френските и нидерландските органи участват в среща на 28 август 2019 г., на която са обсъдени последиците от евентуално демонтиране на инфраструктурата на услугата Sky ECC, както и в техническа работна група на СЕР на 23 и 24 юли 2020 г., по повод на която са открити нови криптирани съобщения.

90 Четвърто, на 25 април 2019 г., 7 септември 2020 г. и 11 февруари 2021 г. белгийските, френските и нидерландските органи участват в координационни срещи, на които представят актуална информация за това как напредват техните разследвания по отношение на услугата Sky ECC и обсъждат какъв е най-добрият начин за постигане на напредък по тях.

91 Пето, на срещата от 23 май 2022 г. нидерландските органи предават на сръбските чрез Евроюст информация за обхвата и напредъка на съответните им разследвания, както и за нуждите им в областта на съдебното сътрудничество.

92 Шесто, на 24 юни 2022 г. френските органи предават на сръбските чрез Евроюст връзка към защитен сайт за изтегляне, предоставящ на разположение на тази трета държава информация относно някои разговори с произход от услугата Sky ECC, свързана с конкретно идентифицирани идентификатори за достъп, сред които разговори са и тези на жалбоподателя.

93 Възможността за жалбоподателя обаче да се позове на такива деяния, за които носят отговорност държавите членки, в рамките на искания за обезщетение, насочени срещу Европол на основание член 50, параграф 1 от Регламент 2016/794, предполага тези деяния да са настъпили в рамките на сътрудничество на основание на Регламент 2016/794 (вж. в този смисъл решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 62 и 63) и да засягат личните му данни.

94 Както бе посочено в точка 39 по-горе, сътрудничеството относно услугата Sky ECC е започнало през май 2019 г., а представените от Евроюст и Европол данни не позволяват да се изведе, че деянията или действията, за които носят отговорност белгийските, френските или нидерландските органи, посочени в точки 87—92 по-горе, не са свързани с това сътрудничество.

95 За разлика от това жалбоподателят не представя никакво доказателство или начало на писмено доказателство, от което да може да се установи, че обменът на метаданните на повече от 9 000 съобщения, състоял се на 27 май 2019 г., срещите на 25 април и 28 август 2019 г., 7 септември 2020 г., 11 февруари 2021 г. и 23 май 2022 г. или пък техническата работна група на СЕР на 23 и 23 юли 2022 г. са довели до обмяната на отнасящи се до него лични данни от белгийските, френските или нидерландските органи по смисъла на член 50, параграф 1 от Регламент 2016/794.

96 Следователно Общият съд не е компетентен да разгледа в съответствие с искането за обезщетение, насочено срещу Европол и основано на член 50, параграф 1 от Регламент 2016/794, твърдения, които се основават на деянията или актовете на белгийските, френските или нидерландските органи, посочени в точка 95 по-горе.

97 За разлика от това представените от жалбоподателя доказателства или начало на писмени доказателства позволяват да се установи, че в периода от 27 май 2019 г. до 24 юни 2022 г. свързаните с него лични данни с произход от услугата Sky ECC са били обработвани, първо, от френските органи в рамките на предаването на Европол на данните, прихванати от сървърите на услугата Sky ECC, второ, от белгийските, френските и нидерландските органи при получаването на тези данни от Европол преди или след обработването, и трето, при предаването им от френските на сръбските органи посредством Евроюст на 24 юни 2022 г.

98 Следователно само деянията и действията, посочени в точка 97 по-горе, ще бъдат разгледани в рамките на частта от искането за обезщетение, насочено срещу Европол и основано на член 50, параграф 1 от Регламент 2016/794.

Б.По различните искания

99 Предвид исканията на жалбоподателя, припомнени в точки 14—19 по-горе, и независимо от факта, че той е посочил едни и същи четири основания в подкрепа на двете си искания и се е позовал на едни и същи деяния в тяхна подкрепа, следва да се разгледа последователно искането, основано на член 263 ДФЕС и изведено от незаконосъобразността на някои актове или действия на Европол и Евроюст, настъпили в рамките на „операция Sky ECC“, а след това и искането за обезщетение, с което той иска да му бъде присъдено обезщетение на основание на членове 268 и 340 ДФЕС, на член 50 от Регламент 2016/794 и на член 46 от Регламент 2018/1727.

100 В началото следва да се отбележи, че Европол и Евроюст повдигат заедно или поотделно няколко възражения за недопустимост, изведени, първо, от недопустимостта на жалбата в нейната цялост поради злоупотреба с процесуални права, второ, от просрочването на жалбата, що се отнася до исканията за отмяна, трето, от факта, че обработването на данните с произход от услугата Sky ECC и отнасящи се до жалбоподателя не представлява обжалваем акт, четвърто, от недопустимостта на исканията за обезщетение, тъй като жалбоподателят не е доказал в достатъчна степен от правна страна твърдените вреди и е заобиколил правните средства.

101 Следва да се припомни, че съдът на Съюза има право да прецени според обстоятелствата във всеки конкретен случай дали доброто правораздаване оправдава отхвърляне на жалбата по същество, без да се произнесе предварително по допустимостта ѝ (вж. в този смисъл решение от 26 февруари 2002 г., Съвет/Boehringer, C‑23/00 P, EU:C:2002:118, т. 51 и 52).

102 В случая Общият съд приема, че от съображения за процесуална икономия следва да разгледа само възражението за недопустимост, изведено от факта, че обработването на данните с произход от услугата Sky ECC и отнасящи се до жалбоподателя не представлява обжалваем акт, без да се произнася предварително по останалите възражения за недопустимост, тъй като при всички положения и по изложените по-долу съображения жалбата е неоснователна.

1.По исканията за отмяна

103 В подкрепа на първото искане, основано на член 263 ДФЕС, жалбоподателят повдига по-специално възражение за незаконосъобразност на някои актове или действия на Европол и Евроюст в рамките на „операция Sky ECC“ на основание на член 277 ДФЕС.

104 Член 263 ДФЕС позволява да се оспори законосъобразността на актовете, приети по-специално от агенциите на Съюза, при условие че са спазени определени условия за допустимост.

а)По допустимостта на исканията за отмяна

105 Европол и Евроюст твърдят, че обработването на данните с произход от услугата Sky ECC и отнасящи се до жалбоподателя не представлява обжалваем акт, тъй като не засяга правното му положение.

106 Както следва от точка 58 по-горе, жалбоподателят упреква Европол за получаването, обработването и споделянето, считано от 27 май 2019 г., на свързаните с него данни от услугата Sky ECC, прихванати от френските органи, както и за участието на тази агенция в срещата на 28 август 2019 г. и в работната група на 23 и 24 юли 2020 г.

107 Както следва от точка 85 по-горе, жалбоподателят упреква Евроюст, че е участвала в координационните срещи между белгийските, френските и нидерландските органи и Европол на 25 април 2019 г., 7 септември 2020 г. и 11 февруари 2021 г., че е участвала в срещата за координиране на нидерландското и сръбското разследване на 23 май 2022 г., както и за предаването на 24 юни 2022 г.

108 С изключение на предаването на 24 юни 2022 г., всички актове или действия, посочени в точки 106 и 107 по-горе, представляват актове или действия с подготвителен характер, които не могат да произведат задължителни правни последици от естество да засегнат интересите на жалбоподателя, като изменят съществено правното му положение по смисъла на постоянната практика на Съда (вж. в този смисъл решения от 11 ноември 1981 г., IBM/Комисия, 60/81, EU:C:1981:264, т. 9, и от 30 ноември 2023 г., Sistem ecologica/Комисия, C‑787/22 P, непубликувано, EU:C:2023:940, т. 51).

109 Що се отнася до участието на Европол и Евроюст в съответните срещи или работни групи, дори да се приеме, че тези срещи и групи са довели до обработването на лични данни на жалбоподателя, налага се констатацията, че те представляват само етапи от текущи наказателни разследвания и единствено създават условията за по-нататъшното им протичане, без да изменят правата на жалбоподателя, нито да накърняват някое от процесуалните му права.

110 В този смисъл участието в тези срещи или работни групи не представлява крайната фаза на специално производство, различно от това, което трябва да позволи на наказателните съдилища на съответните държави членки евентуално да се произнесат по наказателната отговорност на жалбоподателя (вж. в този смисъл решение от 11 ноември 1981 г., IBM/Комисия, 60/81, EU:C:1981:264, т. 11, и определение от 9 септември 2020 г., IMG/Комисия, T‑645/19, непубликувано, EU:T:2020:388, т. 48 и цитираната съдебна практика).

111 Що се отнася до предаванията на лични данни на жалбоподателя с произход от услугата Sky ECC от Европол на органите на държавите членки, каквито са Кралство Белгия, Френската република и Кралство Нидерландия, те не се различават от предаванията от страна на Европейската служба за борба с измамите (OLAF) на нейните окончателни доклади и на информация на държавите членки, които според постоянната съдебна практика не са обжалваеми актове (вж. в този смисъл решения от 30 ноември 2023 г., Sistem ecologica/Комисия, C‑787/22 P, непубликувано, EU:C:2023:940, т. 55, 56, 60, 66 и 67, от 12 септември 2007 г., Nikolaou/Комисия, T‑259/03, непубликувано, EU:T:2007:254, т. 244 и 245 и цитираната съдебна практика, и от 20 май 2010 г., Комисия/Violetti и др., T‑261/09 P, EU:T:2010:215, т. 47 и цитираната съдебна практика).

112 При това положение, без да е необходимо да се определя дали при липсата на формализиране на различните действия, в които жалбоподателят упреква Европол и Евроюст, участието на тези агенции в срещите или в работната група, посочени в точки 106 и 107 по-горе, както и предаванията на лични данни на жалбоподателя с произход от услугата Sky ECC от Европол на белгийските, френските и нидерландските органи, могат да се квалифицират като „актове“ по смисъла на член 263 ДФЕС, но при всички положения те не подлежат на обжалване.

113 За разлика от това, що се отнася до предаването на 24 юни 2022 г., то безспорно представлява обжалваем акт.

114 Действително, от съдебната практика, припомнена в точка 111 по-горе, следва, че изпращането от OLAF на окончателни доклади и информация на държавите членки не представлява обжалваем акт.

115 Съдът и Общият съд обаче са имали възможност да вземат предвид, за да отхвърлят обжалваемия характер на предаванията на OLAF, факта, че жалбоподателят е разполагал с други способи, за да осигури контрола за законосъобразност на тези решения за предаване на информация (вж. решение от 20 май 2010 г., Комисия/Violetti и др., T‑261/09 P, EU:T:2010:215, т. 48 и цитираната съдебна практика), включително преюдициалното производство (вж. в този смисъл определение от 19 април 2005 г., Tillack/Комисия, C‑521/04 P(R), EU:C:2005:240, т. 39).

116 Предаването на 24 юни 2022 г. обаче е осъществено между агенция на Съюза и органите не на държава членка, а на трета държава, в случая Република Сърбия.

117 Така, при липсата на възможност за обжалване в рамките на настоящото производство, законосъобразността на предаването на 24 юни 2022 г. от гледна точка на правото на Съюза вече не може да бъде оспорена, а личните данни, съдържащи се в него, могат да се считат за законно предадени на сръбските органи, без впоследствие жалбоподателят да може да получи от юрисдикциите на тази трета държава преценка валидно ли е посоченото предаване от гледна точка на правото на Съюза или сезиране на Съда с преюдициален въпрос за преценка на неговата валидност.

118 В този смисъл предаването на 24 юни 2022 г. е крайната фаза на специално производство, чрез което Евроюст предава на органите на трета държава по тяхно искане лични данни на идентифицирано лице.

119 Освен това само признаването на обжалваемия характер на предаването на 24 юни 2022 г. може да гарантира ефективен контрол от страна на съдебен или друг независим орган върху предаването на прихванати лични данни и тяхното използване за цели, различни от тези на наказателното производство, за което първоначално са били събрани (вж. в този смисъл ЕСПЧ, 1 април 2025 г., Ships Waste Oil Collector B. V. и др. с/у Нидерландия, CE:ECHR:2025:0401JUD000279916, § 160 и 183 и цитираната съдебна практика).

120 В това отношение е без значение обстоятелството, на което се позовава Евроюст, че жалбоподателят може да подаде жалба до френските съдилища или че може да сезира Европейския съд по правата на човека (наричан по-нататък „ЕСПЧ“) след евентуална присъда на сръбските наказателни съдилища.

121 От една страна, френските съдилища не могат да бъдат сезирани с жалба за отмяна на акт на агенция на Съюза.

122 От друга страна, тъй като Съюзът не се е присъединил към Конвенцията за защита на правата на човека и основните свободи, подписана в Рим на 4 ноември 1950 г. (наричана по-нататък „ЕКПЧ“), ЕСПЧ не може да установи неизпълнение от страна на Съюза на тази конвенция, особено в рамките на производство, образувано срещу трета държава.

123 С оглед на гореизложеното следва да се уважи повдигнатото от Европол и Евроюст възражение за недопустимост и да се констатира, че критикуваните от жалбоподателя актове или действия не подлежат на обжалване, освен що се отнася до предаването на 24 юни 2022 г.

б)По основателността на искането за отмяна, доколкото то се отнася до предаването на 24 юни 2022 г.

124 Налага се констатацията, че жалбоподателят не установява причините, поради които предаването на 24 юни 2022 г. довело до незаконосъобразно обработване на личните му данни.

125 На първо място, член 45, параграф 2, буква б) от Регламент 2018/1727 предвижда, че отговорността за точността на личните данни с оперативно значение се носи от държавата членка, която е предоставила данните на Евроюст, когато, както в случая, предоставените данни не са променени в процеса на обработка от Евроюст, което не се оспорва от жалбоподателя.

126 На второ място, трябва да се констатира, що се отнася до предоставянето на разговорите на жалбоподателя на разположение на сръбските от френските органи посредством Евроюст, че от една страна, нищо не позволява да се приеме, че това обработване на лични данни не е било добросъвестно, законосъобразно и извършено за конкретни, изрично указани и законни цели по смисъла на член 71, параграф 1, букви а) и б) от Регламент 2018/1725.

127 Първо, това обработване е част от изпълнението на задачите на Евроюст и е необходимо за това изпълнение. Второ, от материалите по преписката не следва, че личните данни на жалбоподателя са били обработвани за цели, различни от тези задачи. Трето, посоченото обработване е извършено по искане на френските органи и в изпълнение на предварителни искания за взаимна правна помощ. Четвърто, предаването на личните данни на жалбоподателя на сръбските органи намира основание в член 56, параграф 2, буква б) от Регламент 2018/1727 и в споразумението за сътрудничество, позволяващо обмена на лични данни с оперативно значение, сключено между Евроюст и Република Сърбия на 12 ноември 2019 г.

128 От друга страна, предоставянето на разговорите на жалбоподателя на разположение на сръбските от френските органи посредством Евроюст също е пропорционално и достатъчно защитено по смисъла на член 71, параграф 1, букви в), г) и д) от Регламент 2018/1725. Всъщност то е под формата на предоставяне на връзка към сайт за изтегляне, защитен с парола, предоставена от френските органи, като нищо не позволява да се постави под въпрос твърдението на Евроюст, че не е имала достъп до въпросните данни и не ги е изтегляла, съхранявала или копирала в собствените си информационни системи.

129 От друга страна, що се отнася до твърдението на жалбоподателя, изведено от нарушение на членове 47 и 48 от Хартата, както и на член 6 от ЕКПЧ и на членове 14 и 15 от Пакта, той не обяснява по какъв начин предаването на 24 юни 2022 г. води в деня на предаването до нарушение на тези разпоредби, особено при липсата на присъда на нидерландски или сръбски съд, с която към тази дата се установява вината му въз основа на предадените данни.

130 Поради това исканията за отмяна на предаването на 24 юни 2022 г. следва да се отхвърлят като неоснователни.

в)По основанието, изведено от възражението за незаконосъобразност

131 В приложение на член 277 ДФЕС, независимо от изтичането на срока, предвиден в член 263, шеста алинея ДФЕС, всяка страна може при спор, който засяга акт с общо приложение, приет от институция, орган, служба или агенция на Съюза, да се позове на средствата, предвидени в член 230, втора алинея ДФЕС, за да обоснове пред Съда на Европейския съюз неприложимостта на този акт.

132 Нито един от актовете или действията, за които жалбоподателят упреква Европол или Евроюст, обаче не притежава характеристиките на акт с общо приложение.

133 Следователно основанието, изведено от член 277 ДФЕС, трябва да се отхвърли.

2.По исканията за обезщетение

134 Съюзът носи извъндоговорна отговорност на основание член 340, втора алинея ДФЕС при наличието на съвкупност от условия, а именно наличието на достатъчно съществено нарушение на правна норма, с която се цели да се предоставят права на частноправните субекти, действителното наличие на вреда и наличието на причинно-следствена връзка между неизпълнението на задължението на автора на акта и претърпяната от увредените лица вреда (вж. решение от решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 117 и цитираната съдебна практика).

135 След като едно от тези условия не е изпълнено, искът трябва да бъде отхвърлен изцяло, без да е нужно да се разглеждат другите условия за извъндоговорна отговорност на Съюза. Освен това съдът на Съюза не е задължен да разгледа тези условия в определен ред (вж. решение от 13 декември 2018 г., Европейски съюз/Kendrion, C‑150/17 P, EU:C:2018:1014, т. 118 и цитираната съдебна практика).

136 Когато обаче законодателят на Съюза е предвидил дерогационен режим на солидарна отговорност между агенция на Съюза и една или повече държави членки, Съдът е постановил, че в приложното поле на този дерогационен режим ангажирането на отговорността на тази агенция не изисква да се докаже, че тя носи отговорност за вредата, чието обезщетение се иска, тъй като за нея носят отговорност поне една или няколко от тези държави членки (вж. в този смисъл решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 125 и 132).

137 При тези условия следва да се разгледат поотделно актовете или действията, за които съответно Европол — спрямо която единствено се прилага такъв дерогационен режим на солидарна отговорност с държавите членки — и Евроюст могат да носят отговорност.

а)По актовете и действията, за които Европол може да носи отговорност

138 С първото си искане за обезщетение, представено в рамките на първото основание, жалбоподателят упреква Европол и съответните държави членки, че са обработвали незаконосъобразно и недобросъвестно данните с произход от услугата Sky ECC, включително неговите, и че по този начин са нарушили по-специално член 28, параграф 1, буква а) от Регламент 2016/794.

139 Поради недиференцирания си характер първоначалното обработване на данните с произход от услугата Sky ECC не било нито необходимо по смисъла на член 18, параграф 1 от Регламент 2016/794, нито пропорционално по смисъла на член 28, параграф 1, буква в) от него поради липса на достатъчни предположения за участие на всички ползватели на услугата Sky ECC в деяния, попадащи в обхвата на наказателното право.

140 Освен това по-нататъшното обработване на данните с произход от услугата Sky ECC, нарушило член 28, параграф 1, буква б) от Регламент 2016/794, тъй като се отнасяло до данни, които не били свързани изключително с престъпления и които били събрани недиференцирано и без конкретни, изрично указани и законни цели.

141 С оглед на тези доводи първото искане за обезщетение трябва да се тълкува в смисъл, че се отнася до твърдения за неправилна обработка на данни както от Европол, така и от Кралство Белгия, Френската република и Кралство Нидерландия, тъй като за последните се прилага предвиденият в член 50, параграф 1 от Регламент 2016/794 дерогационен режим на солидарна отговорност.

142 Така, за да се разгледа първото искане за обезщетение, следва да се вземат предвид не само актовете или действията на Европол съгласно режима на отговорност, произтичащ от член 49 от Регламент 2016/794, но и тези на съответните три държави членки въз основа на дерогационния режим на солидарна отговорност, предвиден в член 50, параграф 1 от този регламент.

143 С второто си искане за обезщетение, представено в рамките на второто му основание, въпреки посочването в точка 68 от жалбата на член 28 от Регламент 2016/794, по същество жалбоподателят се позовава само на нарушение на правото на справедлив съдебен процес поради невъзможността да се провери дали данните с произход от услугата Sky ECC са „използваеми“ в националните наказателни производства, образувани по разследванията, в които Европол е участвала.

144 Така в рамките на второто си основание жалбоподателят не оспорва законосъобразността на обработването на личните му данни по смисъла на член 28 от Регламент 2016/794 — единствен довод, който може да доведе до оспорване в рамките на дерогационния режим на солидарна отговорност по член 50, параграф 1 от този регламент.

145 При тези условия, за да се разгледа второто искане за обезщетение, следва да се вземат предвид само актовете или действията на Европол съгласно режима на отговорност, произтичащ от член 49 от Регламент 2016/794.

146 С третото си искане за обезщетение, представено в рамките на третото основание, жалбоподателят се оплаква от дублиране на наказателното преследване за едни и същи деяния, образувано срещу него от нидерландските и сръбските наказателни органи.

147 По същество жалбоподателят поддържа по-специално, че Европол не е спазила изискването за оптимална координация, предвидено в споразумението за СЕР, като по този начин го е лишила от възможността да осигури надлежно защитата си в нарушение на членове 47 и 48 от Хартата, на член 6 от ЕКПЧ и на членове 14 и 15 от Пакта.

148 Макар действително в случая притежавана и обработвана от Европол информация да е била предоставена от тази агенция на нидерландските органи и да е била предадена от френските на сръбските органи, това не променя факта, че с третото искане за обезщетение жалбоподателят упреква Европол не за евентуална „неправилна обработка на данни“ по смисъла на член 50, параграф 1 от Регламент 2016/794, а само за неизпълнение от нейна страна на задълженията ѝ, произтичащи от споразумението за СЕР.

149 Следователно, за да се разгледа това трето искане за обезщетение, следва да се вземат предвид само актовете или действията на Европол съгласно режима на отговорност, произтичащ от член 49 от Регламент 2016/794.

150 С четвъртото си искане за обезщетение, представено в рамките на четвъртото му основание, жалбоподателят се позовава на недостатъчно сигурно и несъответстващо обработване на неговите данни с произход от услугата Sky ECC от страна на Европол и Евроюст, както той потвърждава в отговор на въпрос на Общия съд в съдебното заседание.

151 Твърденията му се основават на член 32 от Регламент 2016/794, както и на членове 89, 91 и 92 от Регламент 2018/1725.

152 За деянията, на които се позовава жалбоподателят, а именно деянията отпреди 24 юни 2022 г., обаче съгласно член 2 от Регламент 2018/1725 по отношение на Европол се прилага ratione temporis само член 32 от Регламент 2016/794.

153 При тези условия, за да се разгледа това четвърто искане за обезщетение, следва да се вземат предвид само актовете или действията на Европол, и то единствено с оглед на член 32 от Регламент 2016/794.

1)По твърдените вреди, произтичащи от актовете или действията на Европол, Кралство Белгия, Френската република или Кралство Нидерландия, чието обезщетяване се иска от Европол въз основа на дерогационния режим на солидарна отговорност, предвиден в член 50, параграф 1 от Регламент 2016/794

154 Както бе посочено в точки 138—142 по-горе, в рамките на първото си искане за обезщетяване жалбоподателят се позовава на вреди, произтичащи от неправилното обработване на неговите данни с произход от услугата Sky ECC както от Европол, така и от Кралство Белгия, Френската република и Кралство Нидерландия.

155 Според жалбоподателя данните с произход от услугата Sky ECC — включително неговите — са били обработвани недиференцирано, което противоречи на членове 17, 18, 28 и 38 от Регламент 2016/794, на членове 7, 8, 10—12, 51 и 52 от Хартата, на член 8 от ЕКПЧ и на член 17 от Пакта.

156 Първоначално тези данни били обработвани от съответните държави членки в нарушение на принципите на необходимост и пропорционалност, поради липсата на обоснована презумпция за участието на всички ползватели на услугата Sky ECC в каквото и да било наказателно деяние. По този начин събирането нарушавало практиката на ЕСПЧ, която позволява недиференцираното събиране на данни само по изключение. Освен това събирането и обработването на метаданните можело да се извършва само въз основа на съдебно разрешение и в областта на националната сигурност или на борбата с тежката престъпност, какъвто не бил настоящият случай.

157 Съгласно член 17, параграф 1, буква а) от Регламент 2016/794 обаче Европол можела да обработва само данни, обработвани от държавите членки в съответствие с националното им право, какъвто не бил настоящият случай.

158 Впоследствие тези данни били обработени от Европол без законна цел, доколкото някои от съхранените разговори нямат връзка с каквото и да било престъпление. Те били обработени също недобросъвестно и незаконосъобразно.

159 В този смисъл Европол нарушила точка 32, букви з), и), п) и р) от Препоръката на Парламента от 15 юни 2023 г. до Съвета и Комисията вследствие на разследването на предполагаеми нарушения и лошо администриране при прилагането на правото на Съюза във връзка с разследването на използването на Pegasus и еквивалентен шпионски софтуер за наблюдение [2023/2500 (RSP)], тъй като не премахнала ирелевантните данни, запазила въпросните данни след определен период от време и не уведомила взетите на прицел лица, както и невзетите на прицел лица.

160 Тези нарушения се потвърждавали от неотдавнашното осъждане на Европол от Европейския надзорен орган по защита на данните (ЕНОЗД) във връзка със съхраняването и премахването на набори от данни, които не са предмет на категоризация (EDPS Decision on the retention by Europol of datasets lacking Data Subject Categorisation, Cases 2019—0370—2021, 21 декември 2021 г.).

161 Европол изтъква, че това искане за обезщетение е неоснователно.

162 В началото следва да се отбележи, че Европол неправилно поддържа, че не може да носи отговорност за актовете или действията на държавите членки и че Общият съд не може да преценява тяхната законосъобразност.

163 Макар безспорно по силата на член 276 ДФЕС съдът на Съюза да не е компетентен да проверява валидността или пропорционалността на операции, провеждани от полицията или други правоприлагащи служби в държава членка, включително в рамките на исковете на основание членове 268 ДФЕС и 340 ДФЕС (вж. точки 44—46 по-горе), това не променя факта, че извън тези конкретни операции дерогационният режим на солидарна отговорност, предвиден в член 50, параграф 1 от Регламент 2016/794, имплицитно, но несъмнено предполага, че Европол може да носи отговорност за актове или действия на държавите членки.

164 От това също така несъмнено следва, че в рамките на искове за обезщетение на основание член 50, параграф 1 от Регламент 2016/794 Общият съд е оправомощен да преценява законосъобразността на актовете или действията на държавите членки, различни от тези, с които техните полицейски или други правоприлагащи служби са събрали съответните данни, независимо дали въз основа на правото на Съюза и в частност на Регламент 2016/794 (вж. в този смисъл решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 121) или въз основа на националното право на съответната държава.

165 Първо, що се отнася до обработването на данните, събрани от френските органи, жалбоподателят посочва само, че някои данни били обработени, въпреки че нямали никаква връзка с каквото и да било престъпление и поради това обработването им нарушавало член 30, параграф 1 от Регламент 2016/794 относно обработването на лични данни по отношение на пострадали от престъпления, свидетели или други лица, които могат да предоставят информация относно престъпления, или по отношение на лица под осемнадесетгодишна възраст.

166 Налага се обаче констатацията, че жалбоподателят се оказва пълнолетно лице, което съгласно националното право на съответната държава членка е заподозряно в извършване на престъпление или в участие в престъпление, което попада в компетентността на Европол, а именно трафик на наркотици, посочено в член 3, параграф 1 от Регламент 2016/794.

167 Ето защо жалбоподателят не може надлежно да се позовава на член 30, параграф 1 от Регламент 2016/794.

168 Освен това жалбоподателят не представя никакво доказателство, позволяващо да се постави под съмнение фактът, че обработването на данните с произход от услугата Sky ECC, по-специално от съответните национални органи преди предаването им на Европол, било извършено за законосъобразните цели, за които те са били събрани, а именно изготвянето на анализи със стратегически или тематичен характер, както и на оперативни анализи по смисъла на член 18, параграф 2, букви б) и в) от Регламент 2016/794 в контекста на изпълнението на решенията за съвместно разследване, посочени в точка 4 по-горе, и на СЕР.

169 Второ, жалбоподателят не представя никакво доказателство, от което да може да се установи, че предаването на събраните от френските органи данни на Европол било извършено в нарушение на принципите, посочени в член 28, параграф 1 от Регламент 2016/794.

170 Трето, що се отнася до дейността на Европол във връзка с данните на жалбоподателя, нищо не сочи, че получаването, обработването, а след това и последващото предаване на резултата от анализа на тези данни на съответните държави членки били извършени в нарушение на принципите, прогласени в член 28, параграф 1 от Регламент 2016/794.

171 На първо място, всички тези операции са извършени в определена рамка, преследваща конкретни, точно определени и законни цели, а именно специфична операция относно услугата Sky ECC, насочена по-специално към идентифицирането на нейните ползватели за целите на наказателно преследване, освен това посредством СЕР, който има същата цел и е създаден със специално споразумение, в което изрично се посочват неговите цели от Кралство Белгия, Френската република и Кралство Нидерландия, и в което участва Европол (вж. точки 3—6 по-горе).

172 На второ място, нищо не сочи, че обработването на данните на жалбоподателя от Европол било неподходящо, ирелевантно или прекомерно с оглед на целта да се идентифицират ползвателите на услугата Sky ECC с оглед по-специално на наказателното им преследване.

173 В това отношение фактът, че Европол е могла да бъде адресат на решението на ЕНОЗД, посочено в точка 160 по-горе, е без значение. Всъщност жалбоподателят нито поддържа, нито a fortiori доказва, че неговите данни попадат в приложното поле на това решение, а именно данните, с които разполага Европол и които не са предмет на категоризация.

174 Напротив, от данните, които са на разположение на Общият съд, става ясно, че данните на жалбоподателя са били свързани с конкретно разследване относно услугата Sky ECC, насочено по-специално към идентифицирането на ползвателите на услугата (вж. т. 4—6 по-горе), че Европол е свързала името на жалбоподателя с идентификатора му в услугата Sky ECC и с потребителското му име и по този начин е могла да идентифицира разговорите му (вж. точки 64 и 65 по-горе), а също така е съставила национални пакети (вж. т. 81 по-горе).

175 На трето място, от преписката не следва, че данните, отнасящи се до жалбоподателя, които са обработени от Европол, били неточни или пък не били подходящо защитени, като се има предвид, че тези данни са били предадени само на държавите или агенциите, участващи пряко или непряко в СЕР, и са били използвани единствено за целите на наказателните преследвания, образувани от Кралство Нидерландия и Република Сърбия срещу жалбоподателя.

176 На четвърто място, нищо не сочи, че данните на жалбоподателя, чиито наказателни производства все още са били висящи към датата на подаване на настоящата жалба, били съхранявани за период, по-дълъг от необходимия за правилното протичане на тези производства.

177 На пето място, жалбоподателят не може валидно да се позовава на факта, че не е имал достъп до своите данни, тъй като съгласно съображение 41 от Регламент 2016/794, на коeто трябва да се признае важна тълкувателна стойност (вж. в този смисъл решение от 5 март 2024 г., Kočner/Европол, C‑755/21 P, EU:C:2024:202, т. 59), Европол може да откаже достъп до личните данни на дадено лице, за да изпълни надлежно задачите си, да защити сигурността и обществения ред или да предотврати извършването на престъпления, или да гарантира, че няма да бъде застрашено провеждането на национални разследвания.

178 Четвърто, от предоставените на Общия съд данни по никакъв начин не следва, че Европол е нарушила принципите относно обработването на лични данни по време на срещите от 27 май и 28 август 2019 г. или на работната група от 23 и 24 юли 2020 г., по повод на която са разкрити нови съобщения (вж. точки 55 и 57 по-горе.

179 Тези срещи очевидно попадат в обхвата на възложените на Европол задачи, посочени по-специално в член 4, параграф 1, буква в) от Регламент 2016/794, особено в настоящия случай, в който Европол участва в СЕР, както предвижда член 4, параграф 1, буква г) от този регламент.

180 Пето, нито едно обстоятелство не позволява да се направи изводът, че Кралство Белгия, Френската република или Кралство Нидерландия са допуснали нередности при получаването на данните, които са им били предадени от Европол.

181 Шесто, нищо не сочи, че информацията, предадена от нидерландските на сръбските органи, някога е била на разположение на Европол, което изключва всякаква солидарна отговорност на тази агенция.

182 Седмо, що се отнася до предаването на 24 юни 2022 г., нищо не сочи, че то противоречи на член 28 от Регламент 2016/794.

183 От друга страна и по съображения, подобни на посочените в точки 171—182 по-горе, Европол, Кралство Белгия, Френската република или Кралство Нидерландия не могат да бъдат упрекнати в никакво нарушение на членове 7, 8, 10—12, 51 и 52 от Хартата, на член 8 от ЕКПЧ и на член 17 от Пакта.

184 В това отношение трябва също да се припомни, че член 52, параграф 1 от Хартата предвижда възможността да се въвеждат ограничения на гарантираните от нея права — включително правото на зачитане на личния и семейния живот, защитата на личните данни, свободата на мисълта, съвестта и религията, свободата на изразяване на мнение и свободата на информация, свободата на събранията и сдруженията — но при условие че са предвидени в закон, че зачитат основното съдържание на съответните права и свободи и че при спазване на принципа на пропорционалност са необходими и действително отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора (вж. решение от 4 октомври 2024 г., Bezirkshauptmannschaft Landeck (Опит за достъп до запазени на мобилен телефон данни), C‑548/21, EU:C:2024:830, т. 119 и цитираната съдебна практика).

185 Освен това борбата с тежката престъпност, към която спада борбата с трафика на наркотици, може да обоснове сериозна намеса в основните права, закрепени по-специално в членове 7 и 8 от Хартата, като тази, която предполага съхраняването на данните за трафик и на данните за местонахождение (вж. в този смисъл решение от 7 септември 2023 г., Lietuvos Respublikos generalinė prokuratūra, C‑162/22, EU:C:2023:631, т. 37).

186 Накрая, доколкото жалбоподателят се позовава на препоръката на Европейския парламент, посочена в точка 159 по-горе, достатъчно е да се констатира, че такъв документ няма обвързващо правно действие.

187 С оглед на гореизложеното жалбоподателят не е доказал наличието на достатъчно съществено нарушение на правна норма, която има за предмет да му предостави права.

188 Тъй като това условие за ангажиране на отговорността на Европол на основание член 50, параграф 1 от Регламент 2016/794 не е изпълнено, не следва да се разглеждат останалите условия за ангажиране на отговорността на Европол на това основание (вж. в този смисъл решение от 13 декември 2018 г., Европейски съюз/Kendrion, C‑150/17 P, EU:C:2018:1014, т. 118).

189 Следователно искането за обезщетение, предявено от жалбоподателя срещу Европол и основано на член 50, параграф 1 от Регламент 2016/794, трябва да се отхвърли като неоснователно.

2)По твърдените вреди, произтичащи единствено от актовете или действията на Европол, чието обезщетение се търси на основание на отговорността на Европол за собствените ѝ действия, предвидена в член 49, параграф 3 от Регламент 2016/794

i)По искането за обезщетение, изведено от нарушение на правото на справедлив наказателен процес

190 Жалбоподателят твърди, че е претърпял вреди поради нарушението на правото му на справедлив наказателен процес, гарантирано с членове 47 и 48 от Хартата, както и с членове 14 и 15 от Пактът, поради невъзможността да се провери истинността, автентичността, надеждността и законосъобразността на данните, обработени и предадени в рамките на сътрудничеството относно услугата Sky ECC, или най-малкото поради липсата на формални и материални гаранции.

191 Всъщност „(желаният) принцип на междудържавно доверие, повече или по-малко абсолютен“ и „методите на тайно (държавно) (разследване)“ правели невъзможен формалния и материален контрол върху данните с произход от услугата Sky ECC, като доказателства в рамките на националните наказателни производства, при това въпреки, че тези данни били непълни и поради това били събрани и обработвани недобросъвестно, незаконосъобразно, неподходящо и по начин, който противоречи на целта на използването на доказателствата в наказателноправната област.

192 Европол твърди, че това искане за обезщетение е неоснователно.

193 Най-напред, доколкото жалбоподателят по същество поддържа, че както нидерландското, така и сръбското наказателно производство не му позволяват да оспори допустимостта или доказателствената сила на данните с произход от услугата Sky ECC, използвани в рамките на тези производства, тези доводи трябва да се отхвърлят, тъй като Европол не носи солидарна отговорност за действията на държава членка, що се отнася до актовете или действията, различни от неправилното обработване на данни, и тъй като липсва солидарна отговорност на Европол за действията на трета държава.

194 По-нататък, ако с настоящото искане за обезщетение жалбоподателят се позовава на незаконосъобразността на обработването на неговите данни, тези доводи вече бяха отхвърлени в точка 187 по-горе.

195 Поради това следва да се отхвърли предявеното от жалбоподателя искане за обезщетение, изведено от нарушение от страна на Европол на членове 47 и 48 от Хартата и на членове 14 и 15 от Пакта.

ii)По искането за обезщетение, изведено от липсата на координация между нидерландските и сръбските органи за целите на наказателните преследвания, образувани срещу жалбоподателя

196 С третото си основание жалбоподателят твърди, че Европол му е причинила вреди, като не е изпълнила задължението си за координиране на наказателните преследвания, което обаче е предвидено в споразумението за СЕР, при положение че е участвала в споделянето на неговите данни за целите на образуваните срещу него наказателни преследвания.

197 Това неизпълнение довело до това жалбоподателят да трябва да се защитава в Нидерландия и Сърбия, като същевременно бил лишен от свобода в Нидерландия, което засегнало защитата му в Сърбия и нарушавало членове 47 и 48 от Хартата, член 6 от ЕКПЧ, както и членове 14 и 15 от Пакта.

198 Европол твърди, че това искане за обезщетение е неоснователно.

199 В това отношение е достатъчно да се отбележи, че доводите на жалбоподателя произтичат от неправилен прочит на откъса от споразумението за СЕР, на който той се позовава.

200 Под заглавие „9.1 Споразумения за използване на цифровите данни от подслушване на сървъри — Обмен на данни с държави, които не са част от СЕР“ споразумението за СЕР предвижда, че „когато […] ползвателите от различни държави от СЕР или от държави, които не са част от СЕР, могат да участват в сходни или свързани деяния, съответните страни по СЕР се консултират незабавно, ако е необходимо и с държавите, които не са част от СЕР и Европол“.

201 Така освен факта, че съгласуването с Европол относно използването на цифровите данни, получени чрез подслушване на сървъри, е само факултативно, се налага констатацията, че предвид заглавието, под което е поставен посоченият от жалбоподателя откъс, това съгласуване се отнася до използването на тези данни, а не до наказателните преследвания, които биха могли да бъдат образувани въз основа на посочените данни от държавите членки, страни по споразумението за СЕР, дори от държави, които не са страни по него.

202 Освен това на Европол не може да се противопостави никакво задължение за координиране на наказателните преследвания на национално равнище, доколкото Регламент 2016/794 — и по-специално член 4, параграф 1 — по никакъв начин не я оправомощава да взема решения дали да образува наказателно преследване срещу лице, идентифицирано в дадена държава, или пък да координира наказателните преследвания, образувани в няколко от тези държави.

203 Поради това Европол не може да носи отговорност за нарушения на членове 47 и 48 от Хартата, на член 6 от ЕКПЧ, както и на членове 14 и 15 от Пакта — нарушения, които към момента на предявяване на настоящата жалба са били напълно хипотетични, доколкото образуваните срещу жалбоподателя наказателни производства все още са били висящи.

204 Следователно предявеното от жалбоподателя искане за обезщетение, изведено от нарушение от страна на Европол на споразумението за СЕР, както и на членове 47 и 48 от Хартата, на член 6 от ЕКПЧ и на членове 14 и 15 от Пакта, трябва да се отхвърли

iii) По искането за обезщетение, изведено от нарушение на член 32 от Регламент 2016/794

205 С четвъртото си основание жалбоподателят твърди, че дори да се приеме, че събирането и обработването на личните му данни се окажат законосъобразни и добросъвестни, Европол му причинила вреда, като не изпълнила задължението си да гарантира подходящо равнище на сигурност на неговите данни в нарушение на член 32 от Регламент 2016/794.

206 Европол твърди, че това искане за обезщетение е неоснователно.

207 Налага се констатацията, че твърденията на жалбоподателя за неизпълнение от страна на Европол на задължението ѝ да приеме подходящите технически и организационни мерки, за да се гарантира съобразено с риска равнище на сигурност, не са подкрепени с никакви доказателства или с каквото и да е начало на писмено доказателство.

208 Жалбоподателят не доказва, че поради такова неизпълнение личните му данни са били предмет по-специално на неразрешено разкриване, неразрешена промяна или неразрешен достъп или на каквато и да е друга неразрешена форма на обработване.

209 В това отношение следва да се отбележи, че твърдението на жалбоподателя, изведено от разкриването на името му в пресата заради Европол, не се подкрепя от никакви доказателства.

210 Само необоснованите опасения на жалбоподателя, че сигурността на личните му данни може да бъде нарушена, не са достатъчни, за да се докаже, че Европол не е изпълнила задълженията си по член 32 от Регламент 2016/794.

211 Следователно предявеното от жалбоподателя искане за обезщетение, изведено от нарушение от страна на Европол на член 32 от Регламент 2016/794, а следователно и исканията за обезщетение, доколкото са насочени срещу Европол, трябва да се отхвърлят.

б)По актовете и действията, за които Евроюст може да носи отговорност

1)По искането за обезщетение, изведено от незаконосъобразното обработване на личните данни на жалбоподателя

212 С първото си основание жалбоподателят твърди, че е претърпял вреди в резултат на обработването на личните му данни в нарушение на членове 71 и 72 от Регламент 2018/1725, на членове „(9 и) 26 и 27 от Регламент 2018/1727“, на членове 7, 8 и 10—12 от Хартата във връзка с членове 51 и 52 от нея, на член 8 от ЕКПЧ, както и на член 17 от Пакта.

213 В подкрепа на доводите си жалбоподателят посочва, че препраща mutatis mutandis към критиките по отношение на Европол, посочени в точки 154—160 по-горе. Той добавя, че Евроюст е нарушила и адвокатската тайна.

214 Евроюст твърди, че това искане за обезщетение е неоснователно.

215 В началото следва да се отхвърлят доводите на жалбоподателя, които въз основа на нарушението на сигурността на личните му данни могат да се разбират като критикуващи актове или действия на Евроюст, които се отнасят до данни, различни от личните му.

216 Всъщност, за да може да се ангажира отговорността на Съюза, ищецът трябва да докаже, че вредата, която иска да бъде обезщетена, го засяга лично (определение от 3 септември 2021 г., Löning/Комисия, C‑176/21 P, непубликувано, EU:C:2021:697, т. 19).

217 Следователно трябва да се отхвърлят критиките на жалбоподателя относно предоставянето на съдействие и съвети в областта на съдебното сътрудничество на Кралство Белгия, Френската република, Кралство Нидерландия и Европол на три срещи, организирани на 25 април 2019 г., 7 септември 2020 г. и 11 февруари 2021 г. (т. 71 по-горе), и критиките относно координирането на нидерландското и сръбското разследване по повод на срещата, организирана на 23 май 2022 г. (т. 73 по-горе), за които жалбоподателят нито твърди, нито a fortiori доказва, че са довели до обработването на личните му данни.

218 Същото се отнася и за твърдението за нарушение от страна на Евроюст на адвокатската тайна.

219 Всъщност жалбоподателят безспорно се позовава на жалба на адвокат от адвокатската колегия на Ротердам относно обработването на неговите данни с произход от услугата Sky ECC. Той обаче изобщо не посочва, че този адвокат е бил или щял да бъде негов представител и че информацията, за която се твърди, че е била обработвана от Евроюст, била свързана със защитата му и че поради това тази агенция накърнила правото му да бъде съветван от адвокат в рамките на съдебно производство — право, закрепено в член 47, втора алинея от Хартата (вж. в този смисъл решение от 8 декември 2022 г., Orde van Vlaamse Balies и др., C‑694/20, EU:C:2022:963, т. 53).

220 Що се отнася до предаването на 24 юни 2022 г. и както бе посочено в точки 124—130 по-горе, жалбоподателят не установява причините, поради които то довело до незаконосъобразно обработване на личните му данни.

221 Освен това, що се отнася до твърдението за нарушение на членове 47 и 48 от Хартата, както и на член 6 от ЕКПЧ и на членове 14 и 15 от Пакта, жалбоподателят не обяснява по какъв начин евентуално незаконосъобразно обработване на личните му данни би довело до нарушение на тези разпоредби.

222 С оглед на гореизложеното предявеното от жалбоподателя искане за обезщетение, изведено от незаконосъобразното обработване на личните му данни, както и от нарушения на членове 47 и 48 от Хартата, член 6 от ЕКПЧ и членове 14 и 15 от Пакта, следва да се отхвърли.

2)По искането за обезщетение, изведено от нарушение на правото на жалбоподателя на справедлив наказателен процес

223 С второто си основание жалбоподателят твърди, че Евроюст му е причинила вреди поради нарушението на правото му на справедлив наказателен процес, гарантирано с членове 47 и 48 от Хартата, както и с членове 14 и 15 от Пакта, произтичащо от невъзможността да се провери истинността, автентичността, надеждността и законосъобразността на данните, обработени и предадени в рамките на сътрудничеството относно услугата Sky ECC, или най-малкото от липсата на формални и материални гаранции.

224 В подкрепа на доводите си жалбоподателят се позовава на същите доводи като посочените в точка 191 по-горе.

225 Евроюст твърди, че това искане за обезщетение е неоснователно.

226 В контекста на второто основание, което се отнася единствено до режима на доказателствата, използвани в рамките на образуваните срещу жалбоподателя национални наказателни производства, трябва да се констатира, че Евроюст единствено е предала данните на 24 юни 2022 г.

227 Исканията за отмяна на предаването на 24 юни 2022 г., основани на същите доводи, обаче вече бяха отхвърлени в точки 128—130 по-горе.

228 От друга страна, жалбоподателят не изтъква нито едно обстоятелство или довод, с които да докаже, че след това предаване е настъпило каквото и да било засягане на правото му на ефективни правни средства за защита.

229 При всички положения следва да се припомни, че член 52, параграф 1 от Хартата предвижда възможността да бъдат налагани ограничения на гарантираните от нея права — включително правото на ефективни правни средства за защита — при условията, припомнени в точка 184 по-горе.

230 С оглед на гореизложеното предявеното от жалбоподателя искане за обезщетение, изведено от нарушение от страна на Евроюст на членове 47 и 48 от Хартата, дори на членове 14 и 15 от Пакта, следва да се отхвърли.

3)По искането за обезщетение, изведено от липсата на координация между нидерландските и сръбските органи за целите на наказателните производства, образувани срещу жалбоподателя

231 С третото си основание жалбоподателят твърди, че Евроюст му е причинила вреди, като не е изпълнил задължението си за координиране на наказателните преследвания, което обаче е предвидено в член 4, параграф 1, буква б) от Регламент 2018/1727, както и в Споразумението за СЕР, въпреки че е участвала в обмена на неговите данни за целите на образуваните срещу него наказателни преследвания.

232 Това неизпълнение довело до това жалбоподателят да трябва да се защитава в Нидерландия и Сърбия, като същевременно бил лишен от свобода в Нидерландия, което засегнало защитата му в Сърбия и нарушило членове 47 и 48 от Хартата, член 6 от ЕКПЧ и членове 14 и 15 от Пакта.

233 Евроюст твърди, че това искане за обезщетение е неоснователно.

234 В това отношение е важно да се припомни, както вече бе посочено в точки 199—201 по-горе, че предвиденото в споразумението за СЕР съгласуване се отнася до използването на събраните от съответните държави данни, а не до наказателните преследвания, които въз основа на посочените данни биха могли да бъдат образувани от държавите членки, страни по Споразумението за СЕР, дори от държави, които не са страни по него.

235 Освен това следва да се отбележи, че член 4, параграф 1, буква б) от Регламент 2018/1727 гласи, че Евроюст „подпомага компетентните органи на държавите членки за осигуряване на възможно най-добрата координация на разследванията и действията по наказателно преследване“.

236 От това следва, както правилно поддържа Евроюст, че в рамките на тази оперативна функция по координиране на разследванията и наказателните преследвания, тази агенция е обвързана само със задължение за полагане на дължимата грижа и че решението за образуване на наказателно преследване срещу дадено лице принадлежи само на съответните национални органи, което се потвърждава от член 85 ДФЕС — правното основание на Регламент 2018/1727.

237 В този смисъл Евроюст не може да носи отговорност за процедурните избори, които са от изключителната компетентност и отговорност на съответните държави.

238 С оглед на гореизложеното предявеното от жалбоподателя искане за обезщетение, изведено от нарушение от страна на Евроюст на споразумението за СЕР, на член 4, параграф 1, буква б) от Регламент 2018/1727, както и на членове 47 и 48 от Хартата, на член 6 от ЕКПЧ и на членове 14 и 15 от Пакта, следва да се отхвърли.

4)По искането за обезщетение, изведено от нарушение на членове 89, 91 и 92 от Регламент 2018/1725

239 С четвъртото си основание жалбоподателят твърди, че дори да се приеме, че събирането и обработването на личните му данни се окажат законосъобразни и добронамерени, най-напред Евроюст му причинила вреди, като не изпълнила задължението си да осигури съобразено ниво на сигурност на неговите данни в нарушение на член 91 от Регламент 2018/1725.

240 Освен това предвид новостта на условията за получаване на данните от услугата Sky ECC — а именно използването на техниката „нападение на посредника“ — Евроюст не изпълнила задължението си да извърши предварителна оценка на въздействието върху защитата на данните на жалбоподателя, предвидена в член 89 от Регламент 2018/1725.

241 Накрая, Евроюст не изпълнила задължението си да уведоми ЕНОЗД за нарушението на сигурността на личните данни на жалбоподателя в нарушение на член 92 от Регламент 2018/1725.

242 Евроюст твърди, че това искане за обезщетение е неоснователно.

243 Най-напред, твърденията на жалбоподателя, че Евроюст не е изпълнила задължението си да приеме подходящите технически и организационни мерки, за да гарантира съобразено с риска ниво на сигурност, трябва да бъдат отхвърлени по съображения, сходни с посочените в точки 207—210 по-горе.

244 По-нататък, жалбоподателят не обяснява причините, поради които Евроюст не изпълнила задължението си да извърши оценка на въздействието преди предаването на сръбските органи на връзката, предоставена от френските органи, към защитен с парола сайт, съдържащ неговите разговори от услугата Sky ECC (т. 75 по-горе).

245 Такова предаване, за което нищо не сочи, че представлява особен риск за правата и свободите на жалбоподателя или най-малкото риск, който надхвърля другите начини на предаване, не обосновава извършването на предварителната оценка на въздействието, предвидена в член 89 от Регламент 2018/1725.

246 Накрая, тъй като не е доказал по един или по друг начин, че Евроюст е нарушила личните му данни, жалбоподателят не може да я упреква, че не е изпълнила задължението си по член 92 от Регламент 2018/1725 да уведоми ЕНОЗД за такова нарушение.

247 С оглед на гореизложеното предявеното от жалбоподателя искане за обезщетение, изведено от нарушение на членове 89, 91 и 92 от Регламент 2018/1725, а следователно и исканията за обезщетение, доколкото са насочени срещу Евроюст, следва да се отхвърлят.

248 С оглед на всичко изложено по-горе жалбата трябва да се отхвърли в нейната цялост, без да е необходимо произнасяне по останалите възражения за недопустимост, изтъкнати от Европол и Евроюст.

IV.По съдебните разноски

249 Съгласно член 134, параграф 1 от Процедурния правилник на Общия съд загубилата делото страна се осъжда да заплати съдебните разноски, ако е направено такова искане. Тъй като жалбоподателят е загубил делото, той трябва да бъде осъден да заплати съдебните разноски в съответствие с исканията на Европол и Евроюст. От друга страна, в приложение на член 138, параграф 1 от Процедурния правилник Кралство Белгия, Кралство Испания и Кралство Нидерландия понасят направените от тях съдебни разноски.

По изложените съображения

ОБЩИЯТ СЪД (пети състав)

реши:

1)Отхвърля жалбата.

2)BW понася направените от него съдебни разноски, както и тези на Агенцията на Европейския съюз за сътрудничество в областта на правоприлагането (Европол) и на Агенцията на Европейския съюз за сътрудничество в областта на наказателното правосъдие (Евроюст).

3)Кралство Белгия, Кралство Испания и Кралство Нидерландия понасят направените от тях съдебни разноски.

Svenningsen

Martín y Pérez de Nanclares

Stancu

Обявено в открито съдебно заседание в Люксембург на 25 февруари 2026 година.

Подписи

*Език на производството: нидерландски.